Поведение системы W10 (Аудит успеха) 4672 и 4624

@Evzen_mhd · Регистрация: 10.02.2020

Author24 — интернет-сервис помощи студентам

Здравствуйте, я не очень продвинутый пользователь. Недавно, заметил, мерцающие и исчезающие окна при работе на ноутбуке. Похоже, на командную строку, быстро исчезают. Если, что-то пишу в документе или еще что-то делаю, происходит прерывание и т.д., на очень короткий срок.

Пользователь один с паролем. Система W10.

Нашел события, посмотрев в интернете, не смог разобраться.

Просмотр событий - Журналы Windows - Безопасность

4672 Special Logon

Кликните здесь для просмотра всего текста

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
<EventID>4672</EventID>
<Version>0</Version>
<Level>0</Level>
<Task>12548</Task>
<Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords>
<TimeCreated SystemTime="2023-01-02T14:24:20.3796450Z" />
<EventRecordID>43493</EventRecordID>
<Correlation ActivityID="{6ac64a46-1ea4-0003-654a-c66aa41ed901}" />
<Execution ProcessID="856" ThreadID="10768" />
<Channel>Security</Channel>
<Computer>DESKTOP-ThinkPad-X270</Computer>
<Security />
</System>
- <EventData>
<Data Name="SubjectUserSid">S-1-5-18</Data>
<Data Name="SubjectUserName">СИСТЕМА</Data>
<Data Name="SubjectDomainName">NT AUTHORITY</Data>
<Data Name="SubjectLogonId">0x3e7</Data>
<Data Name="PrivilegeList">SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege</Data>
</EventData>
</Event>

4624 Logon

Кликните здесь для просмотра всего текста

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
<EventID>4624</EventID>
<Version>2</Version>
<Level>0</Level>
<Task>12544</Task>
<Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords>
<TimeCreated SystemTime="2023-01-02T14:24:20.3796366Z" />
<EventRecordID>43492</EventRecordID>
<Correlation ActivityID="{6ac64a46-1ea4-0003-654a-c66aa41ed901}" />
<Execution ProcessID="856" ThreadID="10768" />
<Channel>Security</Channel>
<Computer>DESKTOP-ThinkPad-X270</Computer>
<Security />
</System>
- <EventData>
<Data Name="SubjectUserSid">S-1-5-18</Data>
<Data Name="SubjectUserName">DESKTOP-THINKPA$</Data>
<Data Name="SubjectDomainName">GROOT</Data>
<Data Name="SubjectLogonId">0x3e7</Data>
<Data Name="TargetUserSid">S-1-5-18</Data>
<Data Name="TargetUserName">СИСТЕМА</Data>
<Data Name="TargetDomainName">NT AUTHORITY</Data>
<Data Name="TargetLogonId">0x3e7</Data>
<Data Name="LogonType">5</Data>
<Data Name="LogonProcessName">Advapi</Data>
<Data Name="AuthenticationPackageName">Negotiate</Data>
<Data Name="WorkstationName">-</Data>
<Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
<Data Name="TransmittedServices">-</Data>
<Data Name="LmPackageName">-</Data>
<Data Name="KeyLength">0</Data>
<Data Name="ProcessId">0x350</Data>
<Data Name="ProcessName">C:\Windows\System32\services.exe</Data>
<Data Name="IpAddress">-</Data>
<Data Name="IpPort">-</Data>
<Data Name="ImpersonationLevel">%%1833</Data>
<Data Name="RestrictedAdminMode">-</Data>
<Data Name="TargetOutboundUserName">-</Data>
<Data Name="TargetOutboundDomainName">-</Data>
<Data Name="VirtualAccount">%%1843</Data>
<Data Name="TargetLinkedLogonId">0x0</Data>
<Data Name="ElevatedToken">%%1842</Data>
</EventData>
</Event>

Насчитал 24 раза Special Logon и Logon за последний час, само мерцающее окно, заметил пару раз.

Спасибо за помощь!

@Evzen_mhd · 09.01.2023, 14:44 **[ТС]**

Никто не подскажет?

@stamp-64 · 09.01.2023, 16:40

Конфигурации системы и прочее.. Тут же не экстрасенсы на расстоянии не могут видить...Замусорен реестр может быть. А мерцание смотри настройки видео. Если же будут артефакты полосы горинзонтальные и вертикальные то это видеокарта...

@Evzen_mhd · 09.01.2023, 18:50 **[ТС]**

Сообщение от stamp-64

Конфигурации системы и прочее.. Тут же не экстрасенсы на расстоянии не могут видить...Замусорен реестр может быть. А мерцание смотри настройки видео. Если же будут артефакты полосы горинзонтальные и вертикальные то это видеокарта...

Спасибо за ответ! Дисплей не мерцает, я выявил что происходит и привет это в описании.

@_lunar_ · 10.01.2023, 02:59

Сообщение от Evzen_mhd

Никто не подскажет?

а что подсказать?
информации о проблеме нет.
ну привели вы два события - первое по процессу с идентификатором 856 (в следующую загрузку системы он будет другой), второе по системному процессу services.exe (что видимо и есть 856 идентификатор).
services.exe это процесс по распределению сервисов, и глючить он не может от слова совсем.
но он запускает какой-то сервис, видимо встроенный в ваш ноутбук поставщиком Lenovo.
удаляйте всё предустановленное ПО и смотрите результат.

@Evzen_mhd · 10.01.2023, 18:21 **[ТС]**

_lunar_, Спасибо за ответ! Тогда, подскажите, пожалуйста, где я могу посмотреть все события или процессы по времени от момент входа в систему? Может, команда какая есть или где-то еще можно посмотреть. Когда окно мелькнет, я запомню время и посмотрю что это было. Спасибо

@_lunar_ · 10.01.2023, 22:51

Evzen_mhd, у Руссиновича есть много всяких программ.
Вроде называется System Monitor, записывает всё что происходит во всех запущенных процессах.
Комплекс этих программ называется System Internal, есть в MS Store

@_lunar_ · 11.01.2023, 09:42

Сообщение от _lunar_

System Monitor

извиняюсь, ошибся с названием - Process Monitor https://learn.microsoft.com/ru... ds/procmon
и сам комплекс Sysinternals Suite https://learn.microsoft.com/ru... nals-suite

Поведение системы W10 (Аудит успеха) 4672 и 4624

Решение

Решение

@Evzen_mhd 5 / 5 / 1 Регистрация: 10.02.2020 Сообщений: 36
		1
	Поведение системы W10 (Аудит успеха) 4672 и 4624 02.01.2023, 18:00. Показов 1830. Ответов 7 Метки 4624, 4672, аудит успеха, безопасность (Все метки) Здравствуйте, я не очень продвинутый пользователь. Недавно, заметил, мерцающие и исчезающие окна при работе на ноутбуке. Похоже, на командную строку, быстро исчезают. Если, что-то пишу в документе или еще что-то делаю, происходит прерывание и т.д., на очень короткий срок. Пользователь один с паролем. Система W10. Нашел события, посмотрев в интернете, не смог разобраться. Просмотр событий - Журналы Windows - Безопасность 4672 Special Logon Кликните здесь для просмотра всего текста - <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"> - <System> <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" /> <EventID>4672</EventID> <Version>0</Version> <Level>0</Level> <Task>12548</Task> <Opcode>0</Opcode> <Keywords>0x8020000000000000</Keywords> <TimeCreated SystemTime="2023-01-02T14:24:20.3796450Z" /> <EventRecordID>43493</EventRecordID> <Correlation ActivityID="{6ac64a46-1ea4-0003-654a-c66aa41ed901}" /> <Execution ProcessID="856" ThreadID="10768" /> <Channel>Security</Channel> <Computer>DESKTOP-ThinkPad-X270</Computer> <Security /> </System> - <EventData> <Data Name="SubjectUserSid">S-1-5-18</Data> <Data Name="SubjectUserName">СИСТЕМА</Data> <Data Name="SubjectDomainName">NT AUTHORITY</Data> <Data Name="SubjectLogonId">0x3e7</Data> <Data Name="PrivilegeList">SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilege SeRestorePrivilege SeDebugPrivilege SeAuditPrivilege SeSystemEnvironmentPrivilege SeImpersonatePrivilege SeDelegateSessionUserImpersonatePrivilege</Data> </EventData> </Event> 4624 Logon Кликните здесь для просмотра всего текста - <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"> - <System> <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" /> <EventID>4624</EventID> <Version>2</Version> <Level>0</Level> <Task>12544</Task> <Opcode>0</Opcode> <Keywords>0x8020000000000000</Keywords> <TimeCreated SystemTime="2023-01-02T14:24:20.3796366Z" /> <EventRecordID>43492</EventRecordID> <Correlation ActivityID="{6ac64a46-1ea4-0003-654a-c66aa41ed901}" /> <Execution ProcessID="856" ThreadID="10768" /> <Channel>Security</Channel> <Computer>DESKTOP-ThinkPad-X270</Computer> <Security /> </System> - <EventData> <Data Name="SubjectUserSid">S-1-5-18</Data> <Data Name="SubjectUserName">DESKTOP-THINKPA$</Data> <Data Name="SubjectDomainName">GROOT</Data> <Data Name="SubjectLogonId">0x3e7</Data> <Data Name="TargetUserSid">S-1-5-18</Data> <Data Name="TargetUserName">СИСТЕМА</Data> <Data Name="TargetDomainName">NT AUTHORITY</Data> <Data Name="TargetLogonId">0x3e7</Data> <Data Name="LogonType">5</Data> <Data Name="LogonProcessName">Advapi</Data> <Data Name="AuthenticationPackageName">Negotiate</Data> <Data Name="WorkstationName">-</Data> <Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data> <Data Name="TransmittedServices">-</Data> <Data Name="LmPackageName">-</Data> <Data Name="KeyLength">0</Data> <Data Name="ProcessId">0x350</Data> <Data Name="ProcessName">C:\Windows\System32\services.exe</Data> <Data Name="IpAddress">-</Data> <Data Name="IpPort">-</Data> <Data Name="ImpersonationLevel">%%1833</Data> <Data Name="RestrictedAdminMode">-</Data> <Data Name="TargetOutboundUserName">-</Data> <Data Name="TargetOutboundDomainName">-</Data> <Data Name="VirtualAccount">%%1843</Data> <Data Name="TargetLinkedLogonId">0x0</Data> <Data Name="ElevatedToken">%%1842</Data> </EventData> </Event> Насчитал 24 раза Special Logon и Logon за последний час, само мерцающее окно, заметил пару раз. Спасибо за помощь! 0

@Evzen_mhd 5 / 5 / 1 Регистрация: 10.02.2020 Сообщений: 36
	09.01.2023, 14:44 [ТС]	2
	Никто не подскажет? 0

@stamp-64 37 / 63 / 9 Регистрация: 06.05.2022 Сообщений: 729
	09.01.2023, 16:40	3
	Конфигурации системы и прочее.. Тут же не экстрасенсы на расстоянии не могут видить...Замусорен реестр может быть. А мерцание смотри настройки видео. Если же будут артефакты полосы горинзонтальные и вертикальные то это видеокарта... 0

@Evzen_mhd 5 / 5 / 1 Регистрация: 10.02.2020 Сообщений: 36
	09.01.2023, 18:50 [ТС]	4
	Сообщение от stamp-64 Конфигурации системы и прочее.. Тут же не экстрасенсы на расстоянии не могут видить...Замусорен реестр может быть. А мерцание смотри настройки видео. Если же будут артефакты полосы горинзонтальные и вертикальные то это видеокарта... Спасибо за ответ! Дисплей не мерцает, я выявил что происходит и привет это в описании. 0

@_lunar_ 3700 / 2834 / 451 Регистрация: 03.05.2011 Сообщений: 5,193 Записей в блоге: 22
	10.01.2023, 02:59	5
	Сообщение от Evzen_mhd Никто не подскажет? а что подсказать? информации о проблеме нет. ну привели вы два события - первое по процессу с идентификатором 856 (в следующую загрузку системы он будет другой), второе по системному процессу services.exe (что видимо и есть 856 идентификатор). services.exe это процесс по распределению сервисов, и глючить он не может от слова совсем. но он запускает какой-то сервис, видимо встроенный в ваш ноутбук поставщиком Lenovo. удаляйте всё предустановленное ПО и смотрите результат. 0

@Evzen_mhd 5 / 5 / 1 Регистрация: 10.02.2020 Сообщений: 36
	10.01.2023, 18:21 [ТС]	6
	_lunar_, Спасибо за ответ! Тогда, подскажите, пожалуйста, где я могу посмотреть все события или процессы по времени от момент входа в систему? Может, команда какая есть или где-то еще можно посмотреть. Когда окно мелькнет, я запомню время и посмотрю что это было. Спасибо 0

@_lunar_ 3700 / 2834 / 451 Регистрация: 03.05.2011 Сообщений: 5,193 Записей в блоге: 22
	10.01.2023, 22:51	7
	Сообщение было отмечено Evzen_mhd как решение Решение Evzen_mhd, у Руссиновича есть много всяких программ. Вроде называется System Monitor, записывает всё что происходит во всех запущенных процессах. Комплекс этих программ называется System Internal, есть в MS Store 1

@_lunar_ 3700 / 2834 / 451 Регистрация: 03.05.2011 Сообщений: 5,193 Записей в блоге: 22
	11.01.2023, 09:42	8
	Сообщение было отмечено Evzen_mhd как решение Решение Сообщение от _lunar_ System Monitor извиняюсь, ошибся с названием - Process Monitor https://learn.microsoft.com/ru... ds/procmon и сам комплекс Sysinternals Suite https://learn.microsoft.com/ru... nals-suite 1